​

Google Workspace (SSO) の統合

​

前提条件

• Google Workspace 組織内の Google Cloud プロジェクトと、そのプロジェクトで Google Auth Platform を構成し OAuth クライアントを作成する権限 (例: プロジェクトの オーナー (Owner) または 編集者 (Editor) ロール)。
• SecureAI への管理者アクセス権と、連携 セクションに対する Admin 権限。

​

しくみ

1. Google Cloud で種類が「ウェブ アプリケーション」の OAuth 2.0 クライアントを作成します。SecureAI は openid、email、profile スコープを使用した OpenID Connect を使用します。
2. SecureAI で、クライアント ID、クライアント シークレット、Google Workspace ドメインを入力します。シークレットは暗号化して保存され、再表示されることはありません。
3. ユーザーが Continue with Google をクリックすると、Google がユーザーを認証し、SecureAI は次の条件をすべて満たす場合にのみアクセスを許可します。
   • Google がユーザーのメール アドレスを確認済みであること
   • アカウントが自社の Workspace ドメインのいずれかで管理されていること (hd クレーム)
   • メール アドレスが SecureAI の有効なアカウントと一致すること

​

ステップ 1: SecureAI からリダイレクト URI をコピーする

1. 管理者として SecureAI にサインインします。
2. 管理画面 → 連携 に移動し、IAM カテゴリで絞り込みます。
3. Google Workspace (SSO) カードで 統合を接続 をクリックします (カードに Configured by Hiper AI (Hiper AI が構成済み) と表示されている場合は 再設定 をクリックします)。
4. 1. Create an OAuth client in Google Cloud セクションで、Redirect URI の横にある Copy をクリックします。

https://<your-company>.hiperai.ai/api/auth/google/callback

​

ステップ 2: Google Cloud プロジェクトを選択または作成する

1. Google Cloud コンソールを開きます。
2. 上部バーのプロジェクト選択ツールで、組織内のプロジェクトを選択するか、新しいプロジェクト (New Project) をクリックします。

3. 新しく作成する場合: 名前を付け (例: SecureAI SSO)、組織 (Organization) が自社の Google Workspace 組織になっていることを確認して、作成 (Create) をクリックします。

​

ステップ 3: Google Auth Platform (同意画面) を構成する

1. メニューで API とサービス → OAuth 同意画面 (APIs & Services → OAuth consent screen) に移動します (新しいコンソールでは Google Auth Platform と呼ばれます)。初めての場合は 開始 (Get started) をクリックします。

2. アプリ情報 (App information): アプリ名 (例: SecureAI) とユーザー サポートメール。
3. 対象 (Audience): 内部 (Internal) を選択します。Google Workspace 組織内のアカウントのみがアプリを使用でき、Google によるアプリの確認は不要です。
4. 連絡先情報 (Contact information): Google からの通知を受け取るメール アドレス。
5. ユーザーデータに関するポリシーに同意し、作成 (Create) をクリックします。

​

ステップ 4: OAuth クライアントを作成する

1. Google Auth Platform で クライアント (Clients) に移動します (または API とサービス → 認証情報 → + 認証情報を作成 → OAuth クライアント ID)。

2. + クライアントを作成 (Create client) をクリックします。
3. アプリケーションの種類 (Application type): ウェブ アプリケーション (Web application)。
4. 名前 (Name): 例: SecureAI SSO。
5. 承認済みのリダイレクト URI (Authorized redirect URIs) で + URI を追加 (Add URI) をクリックし、ステップ 1 の URI を貼り付けます (承認済みの JavaScript 生成元 (Authorized JavaScript origins) は不要です)。

6. このクライアントを AI エージェントに使用する (Use this client for an AI-powered agent) はチェックを外したままにします。別の種類のクライアント向けの設定で、SecureAI には不要です。
7. 作成 (Create) をクリックします。
8. 表示されたダイアログで、クライアント ID (末尾が .apps.googleusercontent.com) と クライアント シークレット (先頭が GOCSPX-) をコピーします。バックアップとして JSON をダウンロードすることもできます。コピーが終わるまでダイアログを閉じないでください。

​

ステップ 5: SecureAI に詳細を入力してテストする

1. 2. Paste the OAuth client details で、次の項目を入力します。
   • Client ID (クライアント ID): ステップ 4 で取得したもの。
   • Client secret (クライアント シークレット): ステップ 4 で取得したもの。
   • Allowed email domains (許可するメール ドメイン、必須): Google Workspace のプライマリ ドメインと、使用している場合はセカンダリ ドメインをカンマ区切りで入力します。例: contoso.com, contoso.co.uk。
2. 3. Test the connection で Test connection (接続をテスト) をクリックします。SecureAI は (誰もサインインさせずに) Google に問い合わせ、次の項目を確認します。

   チェック項目	失敗した場合
   クライアント ID	Google がそのクライアントを認識していません (invalid_client)。ID 全体をコピーしたこと、およびクライアントが削除または無効化されていないことを確認してください。
   クライアントに登録されたリダイレクト URI	ステップ 1 の URI が 承認済みのリダイレクト URI に含まれていません (redirect_uri_mismatch)。正確に追加し、数分待ってください。
   クライアント シークレット	シークレットがそのクライアントのものではありません (invalid_client)。もう一度貼り付けるか、新しいシークレットを追加してください。

   テストはフォームに入力されている内容を使用するため、保存前にテストできます。
3. Show “Continue with Google” on the login page (ログイン ページに「Continue with Google」を表示) がオンになっていることを確認します (初回は既定でオンになっています)。ドメインが入力されていない場合、SecureAI はオンのまま保存できません。
4. Save (保存) をクリックします。

​

ステップ 6: ユーザーを追加する

• 既存のユーザー: すでに SecureAI アカウントを持っているユーザー (パスワードを使用している場合も含む) は再作成されません。引き続きパスワードでサインインでき、Google でもサインインできます。
• SSO 専用の新規ユーザー: 管理画面 → IAM管理 → ユーザー管理 → ユーザーを追加 で、認証方式として ビジネスアカウント / SSO を選択します。ユーザーにはパスワード作成用のメールは送信されず、Continue with Google から直接サインインします。

​

サインインをテストする

1. シークレット (プライベート) ウィンドウでインスタンスのログイン ページを開きます。
2. Continue with Google をクリックします。
3. Google Workspace アカウントを選択します。
4. Google から SecureAI にリダイレクトされ、サインインした状態になります。

​

統合を無効化または削除する

• 構成を残したままボタンを非表示にするには、スイッチをオフにして保存します。
• 構成を削除するには、Remove configuration (構成を削除) を使用します。以前に Hiper AI が SSO を構成していたインスタンスでは、その構成が再び適用されます。

​

クライアント シークレットのローテーション

1. Google Cloud で OAuth クライアントを開き、シークレットを追加 (Add secret) をクリックします (古いシークレットは引き続き機能します)。
2. SecureAI で、Client secret に新しい値を貼り付け、Test connection をクリックしてから Save をクリックします。フィールドを空欄のままにすると、現在のシークレットが維持されます。
3. サインインが機能することを確認したら、Google Cloud で古いシークレットを無効にして削除します。

​

インスタンスに Hiper AI が構成した SSO がすでにある場合

​

トラブルシューティング

• Error 400: redirect_uri_mismatch: クライアントのリダイレクト URI がステップ 1 の URI と完全には一致していません。(JavaScript 生成元ではなく) 承認済みのリダイレクト URI で修正してください。
• Error 403: org_internal: アプリが 内部 に設定されており、アカウントがプロジェクトを所有する Google Cloud 組織に属していません。これは、会社に複数の Google 組織がある場合 (たとえば company.com と company.ai) に、OAuth クライアントがもう一方の組織のプロジェクトで作成されたときにも発生します。ユーザーが所属する組織のプロジェクトで作成してください (コンソールのプロジェクト選択ツールに各プロジェクトの組織が表示されます)。
• Error 401: invalid_client / deleted_client: OAuth クライアントが存在しないか、削除されています。新しいクライアントを作成し、SecureAI を更新してください。
• 「アクセスがブロックされました: このアプリは管理者によって信頼されていません」 (“Access blocked: your administrator has not trusted this app”): Workspace のアプリのアクセス制御によって、サードパーティ製アプリがブロックされています。Google 管理コンソール (セキュリティ → アクセスとデータ管理 → API の制御 → サードパーティ製アプリのアクセスを管理) で、クライアント ID を 信頼できる (Trusted) に設定してください。

​

その他のリソース

• Google Cloud での OAuth 2.0 の設定
• Google の OpenID Connect
• Google Workspace のデータにアクセスできるサードパーティ製アプリを管理する